近年来，以人类遗传资源为基础的国际联合医疗研发项目频繁开展，很多此类项目均涉及基因检测。常见的基因检测场景包括临床项目癌症基因检测、产前筛查与诊断、新生儿筛查、个人基因检测等。这些场景必然涉及基因数据的处理乃至对外提供。

针对上述背景，本文将围绕人类基因数据向外方提供的监管要求展开，主要包括哪些数据构成基因检测数据、基因数据的监管范畴、对外提供的情形以及合规要求。

基因识别数据：使用技术手段，从人类遗传物质中提取的表征个体或群体遗传信息的数据，该数据可以直接或间接识别到人类个体或群体。具体包括：基因组核酸序列数据、功能基因组数据，以及提取过程中生成的原始数据和中间数据。

描述遗传物质样品及其数据主体的相关信息：如采集时间、采集地点、采集对象、采集者、采集方式、样本类型、规格、单位、样品保存期限、测序平台信息、芯片信息、测序时间、数据量、数据类型、遗传疾病、姓名、性别、籍贯、民族、出生日期、身份证号、个体特征、家系信息、用药指南、健康风险等。

以微基因展示的基因报告为例，其中全基因组可能涉及基因识别数据，其他祖源分析、营养代谢、健康风险等，则为描述遗传物质样品及其数据主体的相关信息。

（图片来源于笔者的微基因检测结果）

根据《中华人民共和国个人信息保护法》（以下简称“《个人信息保护法》”）第四条，“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理的信息。《个人信息保护法》第二十八条，“敏感个人信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

因基因数据可识别至特定自然人，或与特定自然人相关，即落入个人信息范畴，且构成敏感个人信息。

根据《汽车数据安全管理若干规定（试行）》第三条，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据。

参考《网络数据安全管理条例（征求意见稿）》第七十三条，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。且“达到国家有关部门规定的规模或者精度的基因、地理、矿产、气象等人口与健康、自然资源与环境国家基础数据”可能构成重要数据。参考《信息安全技术-重要数据识别指南（征求意见稿）》第五条，“反映群体健康生理状况、族群特征、遗传信息等的基础数据”可能构成重要数据。

诚然，现行有效法律暂未对“重要数据”作出明确界定，但参考上述制定中的法律及标准，基因数据极有可能构成重要数据。

根据《人类遗传资源管理条例》第二条，“本条例所称人类遗传资源包括人类遗传资源材料和人类遗传资源信息。人类遗传资源材料是指含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料。人类遗传资源信息是指利用人类遗传资源材料产生的数据等信息资料。”

因此，基因数据属于人类遗传资源中的人类遗传资源信息，构成人类遗传资源。

根据《人口健康信息管理办法（试行）》、《国家健康医疗大数据标准、安全和服务管理办法（试行）》、《信息安全技术健康医疗数据安全指南》及《信息安全技术 基因识别数据安全要求（征求意见稿）》等规范与标准对医疗健康相关数据处理的特别要求，企业在处理基因数据时，还需遵循或参考上述规范及标准。

值得注意的是，《信息安全技术健康医疗数据安全指南》11.3.3中提及，“相关主管部门对基因数据的安全有专门规定，所以本标准不涉及基因数据安全”。

综上，基因数据需着重考虑人类遗传资源监管，并参考《信息安全技术 基因识别数据安全要求（征求意见稿）》。

基因数据向外方提供并受到监管主要分为如下两个场景：

《人类遗传资源管理条例实施细则（征求意见稿）》第十二条对“实际控制”解释如下：（一）境外组织、个人持有或者间接持有机构百分之五十以上的股份、股权、表决权、财产份额或者其他类似权益；（二）境外组织、个人持有或者间接持有机构的股份、股权、表决权、财产份额或者其他类似权益虽然未达到百分之五十，但其所享有的决策机构表决权或其他权益足以对该机构的决议或对该机构的决策、内部管理产生重大影响；（三）境外组织、个人通过协议或者其他安排，足以对机构的决策、经营管理等重大事项施加重大影响；（四）科技部认定的其他情形。

参考上文对于“实际控制”的解释，当与外企开展合作时，极可能触发基因数据向外方提供的监管。

参考科技部官网公开的行政审批结果，常见的合作项目如下：

2015年，在H基因科技服务有限公司和H医院与境外O高校在执行“中国女性单相抑郁症的大样本病例对照研究”国际科研合作中，H医院及H公司未经许可将部分人类遗传资源信息从网上传递出境。对此情况，科学技术部要求其停止研究工作，并销毁所有未出境的遗传资料及相关研究数据，要求整改合格后再行开展相关研究工作。（行政处罚决定书 国科罚〔2015〕1、2号）

根据《生物安全法》以及《人类遗传资源管理条例》，人类遗传资源信息跨境监管主要分为如下三种情况：

其中（1）（2）情形下，应取得科技部的行政许可。

关于情形（1），根据《人类遗传资源管理条例》第二十二条，如因利用我国人类基因数据开展国际合作科学研究，还应满足如下条件：

关于情形（2），根据《人类遗传资源管理条例》第二十七条，涉及基因数据来源样本（即人类遗传资源材料）出境的，还应满足：

关于情形（3），根据《人类遗传资源管理条例》第二十二条，“为获得相关药品和医疗器械在我国上市许可，在临床机构利用我国人类遗传资源开展国际合作临床试验、不涉及人类遗传资源材料出境的，不需要审批。但是，合作双方在开展临床试验前应当将拟使用的人类遗传资源种类、数量及其用途向国务院科学技术行政部门备案。国务院科学技术行政部门和省、自治区、直辖市人民政府科学技术行政部门加强对备案事项的监管”，及第二十八条“将人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用的，应当向国务院科学技术行政部门备案并提交信息备份。”

即，如仅出境人类遗传资料信息，在行政监管层面，应履行的合规措施为当向国务院科学技术行政部门备案并提交信息备份。

根据《个人信息保护法》以及《数据出境安全评估办法》，总结如下：

如涉及重要数据，应根据《数据出境安全评估办法》相关规定通过所在地省级网信部门向国家网信部门申报数据出境安全评估，并履行相关合规义务。

根据《人类遗传资源管理条例》第二十二条及第二十八条，应履行的合规措施为当向国务院科学技术行政部门备案并提交信息备份。